Megosztott VPN-fiók munkamenet-korlátja: miért esik ki egy eszköz

Hozzáad egy második laptopot ahhoz a fiókhoz, amely már a telefonján fut, és a telefon alagútja egy percen belül kiesik. Vagy az új eszköz soha nem fejezi be a csatlakozást, és a kliens egy időtúllépés helyett házirend-üzenettel végződik. A hálózat mindkét esetben rendben van; a döntés felette született. A megosztott bejelentkezés egyetlen identitás, és a legtöbb VPN-szolgáltatás ezt az identitást számolja, nem a birtokában lévő eszközök számát. A kliens képernyőjétől kifelé dolgozom, mert az általában megmutatja, melyik réteg utasította el.

Olvassa el a kliens üzenetét, mielőtt a hálózathoz nyúl

Három hiba hasonlít egymásra, és nem ugyanaz. Az időtúllépés azt jelenti, hogy a csomagjai semmit sem értek el. A TLS- vagy tanúsítványhiba azt jelenti, hogy a végpont válaszolt, de a kézfogás meghiúsult. A hitelesítési vagy házirend-elutasítás azt jelenti, hogy az átjáró elolvasta a hitelesítő adatait, majd elutasította őket. Csak a harmadik tartozik a munkamenet-korlát történetéhez, ezért először azt rögzítse.

Az OpenVPN-kliensek a naplópanelükön tartják az érdekes sorokat. Görgessen az utolsó csatlakozási kísérlethez, ne az azt követő újrapróbálkozási ciklushoz, és keresse a AUTH_FAILED sort vagy egy küldött indokszöveget. A kliens gyakran általános elutasítást jelent magyarázat nélkül, ezért a következő lépés a kiszolgáló, nem a kliens beállításai. A szolgáltatói alkalmazások rosszabbak: az eszközkorlát-üzenet hasznos, de a két másodperc után összeomló kapcsolat házirend-döntés, nem rossz jelszó. Mindenképpen jegyezze fel az eszköz nevét és a pontos időt; az üzemeltető másodpercek alatt összevetheti ezt a párt egy hozzáférési rekorddal.

Ott számolja a munkameneteket, ahol a kiszolgáló számolja őket

A fontos számláló az átjárón él. Az OpenVPN állapotfájlt ír, amikor a kiszolgálót --status kapcsolóval indítják, és felsorol minden csatlakozott klienst a közös nevével, valós címével és forgalomszámlálóival.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Két sor ugyanazzal a közös névvel két élő munkamenet egy tanúsítvány alatt. Alapértelmezés szerint az OpenVPN nem tartja meg mindkettőt: --duplicate-cn nélkül az ugyanazt a tanúsítványt használó második kapcsolat lecseréli az elsőt, és a régebbi eszköz elveszíti az alagútját. Ez a csere az identitáskorlát jele. A véletlenszerű csomagvesztés nem választja le udvariasan pontosan azt az egy eszközt abban a pillanatban, amikor egy másik megjelenik.

A WireGuardnak nincs munkamenet-táblázata, amit meg lehetne vizsgálni. A wg show wg0 kiírja a partnereket és a legutóbbi kézfogásukat, és minden regisztrált eszköz egy partner a saját kulcsával. A megosztott fiók ott egy több gépre másolt konfigurációs fájl, és a korlát onnan jön, ami ezeket a konfigurációkat kiosztja: egy szolgáltatói portál, egy helyszám vagy a nyilvános címéhez kötött szabály. Az OpenVPN 2.6 kézikönyv dokumentálja a kiszolgálóoldali beállításokat, ha saját átjárót üzemeltet.

Válassza szét a négy korlátot, amely egyetlen üzenet mögött rejtőzik

A legtöbb megosztott fiókos jegy a négy belépési döntés egyike. A kliens nem tudja megkülönböztetni őket, de a minta, hogy melyik eszköz hibázik, igen.

Ugyanaz az identitás, második kapcsolat. Az új eszköz működik, a régi pedig ugyanabban a pillanatban meghal. Ez egy identitásonkénti egyidejűségi szabály, amelyet az átjáró vagy a fiókrendszer kényszerít ki. Semmi sem tört el; a szolgáltatás azt teszi, amit a házirendje mond.

Hely- vagy eszközszám a csomagban. Az első eszközök csatlakozva maradnak, a következőt elutasítják, miközben a többi tovább fut. Nézze meg a szolgáltató eszközlistáját, mielőtt módosít egy klienst, mert a licenckorlátot a kliens oldaláról nem lehet javítani.

A nyilvános címéhez kötött felső korlát. Két laptop egy otthoni router mögött meghiúsul, miközben ugyanaz a bejelentkezés telefonos hotspotról működik. Vigye a második eszközt másik hálózatra a teszteléshez. Ha ott csatlakozik, akkor cím szerinti szabályt vagy NAT-szabályt lát, nem a fiók számát.

Kiszolgálószintű maximum. Az átjárón mindenki ugyanabban a csúcsidőben hibázik, beleértve a tegnap még rendben lévő fiókokat is. Az OpenVPN --max-clients beállítása így viselkedik, és semmi köze a regisztrált eszközeihez.

Tisztítsa ki az elavult munkameneteket, mielőtt több helyet vásárol

Egy rosszul végződött munkamenet még mindig foglalhat egy helyet. A RADIUS-elszámolás rekordot ír, amikor a munkamenet elindul, és lezárja, amikor a munkamenet leáll; amikor egy kliens eltűnik, a leállás soha nem érkezik meg, és a kiszolgáló addig tartja a munkamenetet, amíg egy közbenső frissítés vagy időtúllépés le nem jár. Egy FreeRADIUS-átjárón láthatja a nyitott rekordokat:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

A régi kezdési időpontú és forgalom nélküli nyitott rekord egy már elment eszközhöz tartozik. Zárja le az üzemeltető konzolján vagy egy bontási kéréssel, mielőtt feltételezné, hogy a korlát valós volt. A telefonok újracsatlakoznak, amikor a Wi-Fi átadja a kapcsolatot a mobilhálózatnak, és egy laptop egy alagutat futtathat az operációs rendszerben, plusz egy másikat egy szolgáltatói alkalmazásban, ami két munkamenetnek számít egy gépről.

Ne osszon meg egy identitást az együtt futó eszközök között

A tartós megoldás szerkezeti. Adjon minden eszköznek saját tanúsítványt egyedi közös névvel, vagy saját fiókot, és jegyezze fel, melyik személy és melyik gép birtokolja. Az OpenVPN-nél ez eszközönként egy kliens-tanúsítványt jelent, a --duplicate-cn pedig kikapcsolva marad, hacsak nem akar átvételi viselkedést; a WireGuardnál eszközönként egy kulcspárt, amely ott készül és soha nem másolják.

A profil klónozása egy eszközkorlát megkerüléséhez megtöri a visszavonást: egy példány visszavonása minden eszközt elvág, amely megosztja, és a napló már nem tudja megmondani, melyik gép mit tett. Ha a korlát kereskedelmi, a tisztességes megoldás egy hozzáadott hely; ha belső házirend, kérjen második identitást ugyanazokkal a hozzáférési jogokkal.

Rögzített sorrendben ellenőrizzen

Minden alkalommal ugyanúgy tesztelje a javítást, hogy az eredmény jelentsen valamit.

• Jelentkezzen ki minden eszközön, és erősítse meg, hogy a kiszolgáló aktív listája üres; a nem tisztuló bejegyzés elavult munkamenet, nem klienshiba.
• Csatlakoztassa az eszközöket egyenként, és figyelje a listát a kapcsolatok között.
• Ha kettőnek együtt kell futnia, erősítse meg, hogy mindkét sor más identitást hordoz, és mindkettő frissen tartja a kézfogást.
• Ismételje meg a Wi-Fi-ről mobilhálózatra való átállás után, mert egy újracsatlakozás második rekordot hozhat létre.

Ha a régi eszköz továbbra is kiesik, amikor az új csatlakozik, az átjáró egy identitásonkénti szabályt kényszerít ki, amelyre nem kapott kivételt. Vigye az üzemeltetőhöz az eszközneveket, az időbélyegeket és az aktív munkamenetek listáját; ez egy homályos panaszt olyan házirend-kérdéssé alakít, amelyre tudnak válaszolni.